世界経済に対する最大のサイバーリスクは、往々にして見過ごされがちで、より脆弱な中小企業（SME）への攻撃です。
中小企業（SME）はサプライチェーンを形成し、経済を支え、雇用を提供していますが、サイバーセキュリティに対応するための予算や資源は限られています。
小規模企業は、3つの方向性に沿って共同で強固なサイバーレジリエンスを高めることができ、そうすることで世界経済の強化にもつながります。
世界経済にとって最大のサイバーリスクは、国家レベルの攻撃や大企業における大規模な情報漏えいではありません。見過ごされてきた中小企業（SME）の脆弱な弱点こそが、そのリスクです。
中小企業は、あらゆるサプライチェーンを形成し、経済を支え、雇用を提供し、地域社会の生命線でもあります。それでも中小企業は、世界中で毎日、大企業が直面するのと同じ高度なサイバー脅威に直面していますが、その状況は極めて不均衡です。小規模企業は予算も資源も乏しく、そのため攻撃者に立ち向かう準備も十分ではありません。
使いやすく効果的なサイバーセキュリティによって中小企業を支援することは、世界的なレジリエンスにとって不可欠です。そのためには、サイバー防御に対する共同のアプローチが必要です。小規模企業が利用し、運用できる解決策を求めて協力することが求められています。
連帯を通じて、私たちすべてがより良く守られるための、実行可能な3つの方法を見ていきましょう。
世界経済の脆弱な弱点
中小企業は、世界経済の不可欠でありながら脆弱な基盤です。
SMEは世界の企業の約90%を占めています。世界のサプライチェーンにおいて重要な役割を担っており、教育、金融、農業など幅広い分野にわたっています。また、現代社会の一部でもあり、事業運営において技術への依存度が高く、ますます相互につながりを深めています。
しかしSMEには、従業員を教育したり、高価なツールを購入したりするための時間や予算がないことがあります。また、危険性に対する認識も限られており、従業員50人未満の企業のうち47%が、サイバーセキュリティ予算をまったく割り当てていません。これにより、悪用されうる隙が生じています。
現在、脅威は中小企業に集中しています。中小企業の限られた資源と技能が、新たなツールを持つ攻撃者と対峙しています。人工知能（AI）により、攻撃者は中小企業を大規模に標的にできるようになっています。サイバー犯罪グループは、マルウェアを拡散する革新的な手法を見出しつつあります。さらに国家を背景とする主体が、小規模企業への妨害工作まで行っています。
相互に結びついた世界経済では、いかなる組織への攻撃も、そこで止まることはありません。攻撃による連鎖的な影響（ドミノ効果）は、他のSME、大企業、さらには政府や重要インフラにまで広がる可能性があります。
こうした攻撃は、第三者組織にも予期せぬ結果をもたらす可能性があります。これには、サプライチェーンの混乱、認証情報の流出、価格上昇などが含まれる場合があります。
さらに、中小企業はサプライチェーンへのサイバー攻撃の標的となることがしばしばあります。こうした攻撃は、サプライヤーを侵害し、標的組織との信頼関係を悪用するもので、多くの場合、広範囲に影響が及びます。したがって、小規模企業のサイバーセキュリティ上の弱点は、世界経済全体の脆弱性につながります。
サイバーセキュリティを「購入」から「運用」へ転換する
中小企業にとって、サイバーセキュリティツールを購入するだけでは、安全という幻想しか得られません。高度な警報システムを設置しても、その警告を監視したり、侵入に対応したりする人がいなければ意味がないのと同じです。
例えば、多くの企業はサイバーセキュリティ戦略の要として、エンドポイント検知・対応（EDR）ツールに頼っています。組織は、これでネットワークを守るのに十分だと感じるかもしれませんが、脅威アクターは、さまざまな手法を用いてEDRを頻繁に回避しています。
この製品のみに依存する受動的なアプローチは、必然的に失敗します。今日のサイバー脅威は、多くの場合AIによって加速し、絶えず進化しています。脅威は静的な防御を速やかに出し抜き、管理されていないシステムを圧倒します。
求められている大きな転換は、効果的なサイバーセキュリティが継続的に運用されなければならないと認識することです。中小企業も大企業と同様に、常に警戒を怠らず、即座に行動できる態勢を整えておく必要があります。しかし、直面している課題を考えると、それはどのように実現可能なのでしょうか。
中小企業の集団的なサイバーレジリエンスを構築する3つの方法
これら3つの方向性に従うことで、中小企業は集団として、より強固なサイバーレジリエンスを実現できます。その目的は、中小企業を支援し、それによって国および世界経済の強化につなげることです。
1. セキュリティオペレーション（SecOps）の民主化
課題
市場で入手可能なツールは、あまりにも複雑です。それらは大企業向けに設計されており、中小企業の手の届かないものとなっています。
テクノロジープロバイダーに求められる対応
テクノロジープロバイダーは、直感的に操作できるインターフェースを備えた使いやすいツールを開発しなければなりません。また、ギャップを埋めるためのスキル開発を提供すべきです。これにより、少人数のチームや専門家でない人々も、自社のビジネスをより容易に守ることができるようになります。
テック企業は、中小企業向けに利用しやすく手頃な価格のモデルを提供する必要もあります。これらのSecOpsソリューションは柔軟である必要があり、この脆弱な層を狙う高度でAIを活用した脅威に対抗できるよう進化しなければなりません。
2. サイバーの専門知識を利用しやすくする
課題
サイバーセキュリティは製品ではなく、実践です。多くの中小企業は、管理された防御を単独で維持することができません。財政的な余力も人的資源も持ち合わせていないためです。
フォーラムがリーダーのサイバーリスク理解とデジタルレジリエンス強化を支援する方法
サイバーセキュリティセンターは、リーダーが進化するサイバーリスクとその体系的な影響を理解するために集まる、信頼できるプラットフォームを提供しています。増大するデジタル相互接続の世界において、理解と信頼を築くことに注力しています。
センターは、セクターを超えた連携と知見の共有を可能にすることで、パートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組めるよう支援しています。
中小企業およびマネージドサービスプロバイダー向けの取り組み
SecOpsの提供を必要なペースで拡大することは、第三者サービスを通じてのみ可能です。有能なマネージドサービスプロバイダー（MSP）およびマネージドセキュリティサービスプロバイダー（MSSP）は、事実上、効果を何倍にも高める存在です。
MSPは、中小企業が効果的なサイバーセキュリティを実現するうえで妨げとなる、現実世界の障壁を乗り越えられるよう支援しています。MSPは、あらゆる規模の企業がサービスを利用できるよう、簡素化されたソリューションを開発することが重要です。
3. 世界的な人材の育成と意識向上
課題
サイバーセキュリティ人材は深刻に不足しています。これは特に中小企業や発展途上国の企業に影響を与えています。
政策立案者およびテクノロジープロバイダーに求められる対応
業界リーダーは、サイバーセキュリティのスキル開発に投資しなければなりません。サイバーセキュリティを運用上の必要事項として認識させる啓発を推進すべきです。さらに、政府の政策立案者は、中小企業が研修を受けられるよう支援することを優先課題とすべきです。
サイバーセキュリティ企業は、詳細な専門研修を受けていないユーザーにとっても利用しやすいソリューションを提供する必要があります。自動化の選択肢は、24時間体制のセキュリティ人員の必要性を減らし、アラート疲労の改善にも役立ちます。
サイバーセキュリティにおける責任の共有が重要
サイバーセキュリティは単なる技術的な問題ではありません。中小企業へのサイバー攻撃による混乱は、ビジネスへの信頼を損ない、経済に影響を及ぼします。
企業の大多数は中小企業です。こうした企業が効果的なサイバー防御を構築できるよう支援することは、攻撃者を寄せ付けない堅固な壁となるでしょう。
私たちは3つの方向性を示しました。技術の利用しやすさの向上、専門サービスの拡大、そして世界的な人材の育成です。これらに取り組むことで、世界的なサイバー防御の強化に貢献したいと考えていますが、鍵となるのは協働です。
集団的なアプローチと考え方は、中小企業の防御を強化するだけでなく、すべての産業と地域にわたる安全なデジタルの未来を確保するでしょう。
